Habeas data en tu página web: qué exige la Ley 1581 en formularios, cookies y analítica

La respuesta corta

Si tu página web recoge nombres, correos, teléfonos o cualquier dato que identifique a una persona, en Colombia te aplica la Ley 1581 de 2012, sin importar el tamaño de tu empresa. En la práctica eso exige cuatro cosas en el sitio: una política de tratamiento publicada, un aviso de privacidad donde recoges los datos, una autorización previa, expresa e informada de la que guardes prueba, y un canal para que la gente consulte o reclame, con respuestas en 10 y 15 días hábiles.

El registro de bases de datos ante la Superintendencia de Industria y Comercio (SIC) solo es obligatorio para sociedades y entidades sin ánimo de lucro con activos de más de 100.000 UVT y para entidades públicas. Las multas llegan hasta 2.000 salarios mínimos, unos COP 3.502 millones en 2026. Esto no es asesoría legal: si tratas datos sensibles o de menores, consulta con un abogado.

Qué normas aplican, en una línea cada una

• Ley 1581 de 2012: la ley de protección de datos personales (el "habeas data" general). Define qué es un dato personal, los principios, los derechos de los titulares, los deberes y las sanciones.
• Decreto 1377 de 2013: reglamenta la autorización, las políticas y el aviso de privacidad. Hoy está compilado en el Decreto 1074 de 2015, Capítulo 25 del Título 2, Parte 2, Libro 2 (artículos 2.2.2.25.1.1 y siguientes). Por eso verás citas dobles, como "artículo 7 del Decreto 1377, hoy 2.2.2.25.2.4".
• Decreto 886 de 2014 y Decreto 090 de 2018: el Registro Nacional de Bases de Datos (RNBD), en el Capítulo 26 del mismo Decreto 1074.
• Circular Externa 005 de 2017 de la SIC: los países a los que puedes transferir datos.

La ley define dato personal como "cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (artículo 3). Un formulario de contacto, un newsletter, una cuenta de cliente, un chat o un píxel que identifique visitantes caen ahí. Y la SIC lo dice sin rodeos en sus preguntas frecuentes del RNBD: el régimen "es aplicable a todas las sociedades y entidades en Colombia sin excepción".

La política de tratamiento: lo que debe decir

Es el documento completo, normalmente una página enlazada en el pie del sitio. El artículo 2.2.2.25.3.1 del Decreto 1074 exige que esté "en un lenguaje claro y sencillo" e incluya, como mínimo:

1. Nombre o razón social, domicilio, dirección, correo y teléfono del responsable.
2. El tratamiento que se hará de los datos y su finalidad.
3. Los derechos del titular.
4. La persona o el área que atiende peticiones, consultas y reclamos.
5. El procedimiento para conocer, actualizar, rectificar y suprimir datos y revocar la autorización.
6. La fecha de entrada en vigencia y el período de vigencia de la base de datos.

Si cambias algo sustancial, como quién eres o para qué usas los datos, debes avisar antes de aplicarlo; y si cambia la finalidad, pedir una autorización nueva (artículo 2.2.2.25.2.2). Copiar la política de otra empresa no sirve: tiene que describir tus bases de datos, tus finalidades y tus proveedores reales.

El aviso de privacidad: lo que va junto al formulario

El aviso es la versión corta que la persona ve cuando entrega sus datos. Según los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3, debe darse "a más tardar al momento de la recolección" y contener como mínimo:

• Nombre o razón social y datos de contacto del responsable.
• El tratamiento y la finalidad.
• Los derechos del titular.
• Cómo consultar la política completa y enterarse de sus cambios.

Si pides datos sensibles, el aviso debe decir expresamente que responder esas preguntas es opcional. En un sitio web, el aviso cabe en dos o tres líneas encima del botón de enviar, con un enlace a la política.

La autorización en tus formularios

La Ley 1581 exige "la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior" (artículo 9). Su artículo 12 dice qué debes informar al pedirla: el tratamiento y la finalidad, que las preguntas sobre datos sensibles o de menores son opcionales, los derechos del titular y tu identificación, dirección y teléfono.

El reglamento acepta tres formas de autorizar (artículo 2.2.2.25.2.4):

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Fuente: Decreto 1074 de 2015, que compila el artículo 7 del Decreto 1377.

Cómo se traduce eso en un formulario web:

• Casilla vacía que la persona marca. Una casilla que ya viene marcada se parece más al silencio que a una conducta inequívoca. Es nuestra lectura de la norma, y es la opción que deja menos dudas.
• Una casilla por finalidad distinta. El reglamento pide informar "todas las finalidades específicas" (artículo 2.2.2.25.2.2). Responder una cotización y enviar publicidad son finalidades distintas: si el newsletter va en la misma casilla que la consulta, no puedes demostrar que la persona quiso el newsletter.
• Guarda la prueba. Los responsables "deberán conservar prueba de la autorización" (artículo 2.2.2.25.2.5). Con cada envío, guarda la fecha y la hora, el formulario, la versión del texto de autorización que vio la persona y qué casillas marcó. Un correo que llega a tu bandeja no es una buena prueba si no sabes qué decía el formulario ese día.
• No pidas lo que no usas. La guía de la SIC sobre comercio electrónico.pdf) recomienda "recolectar los datos estrictamente necesarios". Cada campo de más es un dato más que proteger.

La autorización no hace falta en algunos casos (artículo 10 de la ley), como datos de naturaleza pública u órdenes de una autoridad. Esos casos rara vez cubren un formulario de contacto o una lista de correo.

Datos sensibles y de menores

Son sensibles, entre otros, los datos de salud, vida sexual, origen étnico, opiniones políticas, convicciones religiosas y los datos biométricos (artículo 5 de la ley). Su tratamiento está prohibido salvo excepciones, la principal de ellas la autorización explícita del titular (artículo 6). Además, debes decir cuáles datos son sensibles, que no está obligado a darlos, y nunca condicionar un servicio a que los entregue (artículo 2.2.2.25.2.3).

Esto le importa a una web más de lo que parece: un formulario de una clínica, un test de salud, un inicio de sesión con reconocimiento facial o una verificación de identidad con selfi recogen datos sensibles. Con niños, niñas y adolescentes, el tratamiento solo es posible si responde a su interés superior y respeta sus derechos fundamentales, con autorización de su representante legal (artículo 2.2.2.25.2.9).

Cookies y analítica: lo que dice (y no dice) la SIC

La Ley 1581 no menciona las cookies. Revisamos el centro de publicaciones de la SIC el 17 de octubre de 2026 y no encontramos una guía específica sobre cookies. Sus guías más cercanas, la de comercio electrónico.pdf) y la de marketing y publicidad, ambas de 2019, piden privacidad desde el diseño y por defecto, pero no hablan de cookies.

Lo que sí aplica es la definición de dato personal. Una cookie que solo recuerda el idioma no identifica a nadie. Un identificador de visitante que se cruza con un correo en tu CRM, un píxel publicitario o una grabación de sesión ligada a un usuario con cuenta sí pueden "asociarse" a una persona determinable, y entonces les aplica todo lo anterior: finalidad informada, autorización y posibilidad de oponerse.

En la práctica hay dos maneras de hacerlo, con distinto nivel de riesgo:

En dardo.studio usamos el segundo enfoque para la analítica, con la publicidad desactivada, los formularios excluidos de las grabaciones y las señales Do Not Track y Global Privacy Control respetadas. Es una decisión de diseño, no la única lectura posible de la ley. Si usas píxeles publicitarios o identificas a usuarios con nombre y correo dentro de tu herramienta de analítica, el consentimiento previo es la opción prudente. En PostHog vs Google Analytics explicamos cómo configurar el consentimiento en cada una.

Tu hosting, tu CRM y tu analítica en Estados Unidos

Casi toda web colombiana envía datos fuera del país: el hosting, el correo, el CRM o la herramienta de analítica suelen estar en Estados Unidos. La ley distingue dos casos (artículo 2.2.2.25.1.3):

• Transmisión: el proveedor trata los datos por tu cuenta, como un hosting o un CRM. No necesitas informar al titular ni pedir su consentimiento si firmas con el proveedor un contrato que fije el alcance del tratamiento y sus obligaciones de seguridad y confidencialidad (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2). Muchos proveedores publican un acuerdo de tratamiento de datos (DPA); revisa que cubra lo que pide la norma: el alcance, las actividades que hará el proveedor y sus obligaciones de seguridad y confidencialidad.
• Transferencia: le entregas los datos a otro responsable que los usa para sus propios fines. Solo se permite hacia países con un nivel adecuado de protección, salvo excepciones (artículo 26 de la ley).

La Circular Externa 005 de 2017 de la SIC enumera los países con nivel adecuado de protección: los países de la Unión Europea que nombra uno por uno, el Reino Unido, Noruega, Islandia, Costa Rica, México, Perú, Serbia, la República de Corea y los Estados Unidos de América, además de los que la Comisión Europea haya declarado adecuados. Aun así, la circular aclara que sigues obligado a demostrar que protegiste los datos que envías.

El Registro Nacional de Bases de Datos: quién debe inscribirse

Según el artículo 2.2.2.26.1.2 del Decreto 1074, modificado por el Decreto 090 de 2018, deben inscribir sus bases de datos en el RNBD:

• Las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.
• Las personas jurídicas de naturaleza pública.

Con la UVT de 2025 que publica la DIAN (COP 49.799), 100.000 UVT equivalen a COP 4.979.900.000; usa la UVT del año que corresponda a tus estados financieros. Si estás por debajo, no te inscribes, pero la ley te aplica igual.

Los plazos iniciales vencieron entre 2018 y 2019. Hoy, una base de datos nueva se inscribe dentro de los dos meses siguientes a su creación (artículo 2.2.2.26.3.1), y según las preguntas frecuentes de la SIC la información se actualiza dentro de los primeros diez días hábiles de cada mes cuando hay cambios sustanciales, y además cada año entre el 2 de enero y el 31 de marzo. Un cambio de CRM o de proveedor en otro país cuenta como cambio sustancial. El registro se hace en el sitio del RNBD.

Consultas y reclamos: los plazos que tienes

Lo que en otros países llaman derechos ARCO, en Colombia son los derechos a conocer, actualizar, rectificar, suprimir y revocar la autorización (artículo 8). La ley fija los tiempos de respuesta:

Debes designar una persona o un área que atienda estas solicitudes (artículo 2.2.2.25.4.4). En una empresa pequeña puede ser un correo dedicado con alguien responsable de responderlo a tiempo; ponlo en la política y en el aviso.

Sanciones: lo que dice la ley y lo que ha hecho la SIC

El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales, sucesivas mientras siga el incumplimiento, suspender actividades de tratamiento hasta seis meses, cerrarlas temporalmente y, si se trata de datos sensibles, ordenar el cierre inmediato y definitivo. Con el salario mínimo de 2026, COP 1.750.905 según el Ministerio del Trabajo, el tope es de COP 3.501.810.000.

Cuatro casos recientes, todos publicados por la SIC, que tocan prácticas comunes en sitios web y campañas:

La SIC también informó que en 2025, hasta agosto, había abierto 101 investigaciones e impuesto multas por COP 5.157 millones por violaciones a esta ley (14 de agosto de 2025). Y hay una reforma en curso: el Gobierno radicó en agosto de 2025 un proyecto que, según la SIC, subiría las multas hasta 10.000 salarios mínimos o el 5 % de los ingresos operacionales. Mientras no se apruebe, rige la Ley 1581.

Lista de verificación para tu sitio web

Qué hacer ahora

Haz un inventario de una página: qué formularios, chats, cuentas, píxeles y herramientas recogen datos en tu sitio, para qué y dónde quedan. Con eso, la política, el aviso y las casillas casi se escriben solos, y si necesitas apoyo legal llegarás con la tarea hecha. Si vas a rehacer tu sitio, ponlo en el brief de tu página web para que el presupuesto lo incluya, y ten en cuenta cuánto cuesta una página web en Colombia cuando compares cotizaciones. En Dardo construimos formularios con autorización y registro de prueba en nuestro servicio de desarrollo web, y configuramos la analítica con su control de privacidad en configuración de analítica web.